개요
랜섬웨어는 가장 파괴적인 사이버 위협 중 하나로, 중요한 조직 데이터를 암호화하고 복구를 위해 몸값을 요구합니다. 초기 공격은 대량 피싱이나 기회주의적 악성코드 배포에 의존했지만, 현대의 랜섬웨어 공격은 매우 정교하고 표적화된 공격으로 진화했습니다. 오늘날의 공격자들은 단순히 기기를 감염시키는 데 그치지 않고 네트워크 전반을 이동하며, 자격 증명을 수집하고, 방어 체계를 무력화하고, 지속적인 통제를 유지합니다. 이 모든 것이 은밀하게 탐지를 피하면서 이루어집니다.
책임 한계: 이 블로그에서 다루는 원격 액세스 도구는 IT 관리 및 원격 지원을 지원하도록 설계된 합법적인 소프트웨어 제품입니다. 이 글에서는 도구가 잘못 구성되거나, 제대로 관리되지 않거나, 모니터링되지 않을 경우 공격자가 랜섬웨어 공격에 어떻게 악용할 수 있는지 집중적으로 다룹니다. 도구 자체가 본질적으로 취약하거나 악성이라는 것을 암시하는 것은 아닙니다.
이러한 공격의 주요 원인은 다음과 같은 합법적인 원격 액세스 도구(RAT)의 악용입니다. AnyDesk, UltraViewer, AppAnywhere, RustDesk, CloneDesk, Splashtop 및 TightVNC원래 IT 관리 및 원격 지원을 위해 설계된 이러한 도구 중 다수는 다음을 제공합니다. 무료 또는 무료로 사용 가능한 버전공격자들이 자주 악용하는 도구는 배포가 쉽고, 널리 신뢰되며, 기업 환경에서 자주 허용 목록에 추가되기 때문입니다. 이러한 도구는 다음과 같은 기능을 제공합니다.
- 무인 액세스: 사용자 상호 작용 없이 연결
- 파일 전송: 바이너리를 이동하거나 데이터를 빼내세요
- 대화형 데스크톱 제어: 원격으로 관리 작업 실행
- 암호화된 통신: 네트워크 모니터링 회피
많은 조직에서 원격 액세스 도구를 허용 목록에 추가하고 디지털 서명을 신뢰하는데, 공격자는 이를 악용하여 보안 제어를 우회하고 은밀하게 공격을 지속합니다. 최신 랜섬웨어 위협에 대한 효과적인 방어 체계를 구축하려면 원격 액세스 도구가 어떻게 악용되는지 이해하는 것이 중요합니다.
랜섬웨어 킬 체인: 단계별 분석
랜섬웨어 킬 체인은 초기 접근부터 최종 공격까지 공격의 각 단계를 설명합니다. 공격자가 합법적인 원격 접근 도구를 활용하면 은밀성, 지속성, 그리고 제어력을 확보하여 탐지 및 완화를 더욱 어렵게 만듭니다.
킬 체인의 각 단계를 이해하는 것은 방어자에게 필수적입니다. 공격 패턴을 조기에 파악하는 데 도움이 될 뿐만 아니라, 공격자의 움직임을 차단하기 위한 더욱 강력하고 다층적인 방어 체계를 구축하는 데에도 도움이 됩니다. 각 단계를 세분화함으로써 보안 팀은 적의 행동을 더욱 정확하게 예측하고 악의적인 활동이 심각한 피해를 입히기 전에 적시에 조치를 취하여 차단할 수 있습니다. 다음 섹션에서는 랜섬웨어 공격자가 합법적인 원격 액세스 도구를 악용하여 캠페인을 진행하는 방법을 단계별로 자세히 분석합니다.
1단계: 초기 액세스 - 자격 증명 손상
공격자는 도용되거나 무차별 대입 공격을 통해 획득한 자격 증명을 사용하여 신뢰할 수 있는 사용자로 위장하면서 방어 체계를 우회하여 합법적인 접근 권한을 얻습니다. 관리자 계정을 표적으로 삼으면 최대한의 제어력을 확보하고 원격 액세스 도구 배포 및 측면 이동과 같은 후속 단계를 수행할 수 있습니다.
일반적인 공격 경로:
- RDP/SMB 엔드포인트에 대한 무차별 대입 공격
- 누출 또는 과거 침해로 인한 자격 증명 재사용
- 최대 권한을 위한 관리자 계정 타겟팅
탐지 지표:
- Windows 이벤트 ID 4625 → 4624(여러 번 로그인 실패 후 바로 성공)
- 비정상적인 시간에 RDP 로그온 유형 10
- 예상치 못한 지리적 위치에서 로그인이 이루어지는 경우.
2단계: 원격 도구 남용 – 하이재킹 대 무음 설치
공격자는 접근 권한을 획득한 후, 은밀한 지속성을 위해 원격 액세스 도구 배포에 집중합니다. 기존 원격 액세스 도구를 하이재킹하여 탐지를 피하거나, 서명된 설치 프로그램을 사용하여 최소한의 설치 공간만 차지하는 자동 설치를 수행할 수 있습니다. 자동 설치는 알려진 명령줄 플래그, 공급업체 설명서 또는 리버스 엔지니어링을 활용하여 배포 매개변수를 찾는 경우가 많습니다.
방법 1: 기존 원격 액세스 도구 하이재킹
- WMI, 레지스트리 또는 PowerShell을 통해 설치된 원격 액세스 도구를 열거합니다.
- 공격자 자격 증명을 추가하거나 액세스 구성을 수정합니다.
- 새로운 파일이나 프로세스를 생성하지 않아 탐지 위험이 줄어듭니다.
방법 2: 원격 액세스 도구의 자동 설치
- 사용자 상호 작용 없이 가볍고 서명된 설치 프로그램을 배포합니다.
- 자동 설치 플래그: /S, /VERYSILENT, /quiet, /NORESTART.
| 원격 도구 | 명령 | 목적/효과 |
| AnyDesk | anydesk.exe –install “C:\ProgramData\AnyDesk” –silent –start-with-win | 지속적인 원격 액세스 서비스 |
| 울트라뷰어 | UltraViewer_Setup.exe /VERYSILENT /NORESTART | 재부팅 없이 조용히 설치하세요 |
| 앱애니웨어 | msiexec /i AppAnywhere.msi /quiet /norestart | 엔터프라이즈 스타일의 무음 배포 |
| 러스트 데스크 | rustdesk.exe –서비스 설치 –암호 “Str0ngPass123” | 무인 원격 액세스를 가능하게 합니다. |
| 클론데스크 | CloneDesk_Setup.exe /S /D=C:\ProgramData\CloneDesk | 최소 설치 공간 |
| 스플래시 탑 (Splashtop) | Splashtop_Streamer.exe /s /i silent=1 사전 확인=0 확인=0 | 조용한 엔터프라이즈 배포 |
| TightVNC를 | tightvnc-setup.exe /S /NORESTART | CLI 기반 숨겨진 설치 |
3단계: 지속성 및 권한 통합
공격자는 레지스트리 실행 키(HKCU\Software\Microsoft\Windows\CurrentVersion\Run), 숨겨진 예약된 작업, 그리고 구성 파일 수정을 이용하여 지속성을 유지합니다. PowerRun이나 TrustedInstaller와 같은 도구를 사용하여 권한 상승을 달성함으로써 원격 액세스 도구가 시스템 권한으로 실행되고 사용자 수준 제한을 우회할 수 있습니다.
메커니즘 :
- 레지스트리 실행 키: HKCU\소프트웨어\Microsoft\Windows\현재 버전\실행
- 예약 된 일정: 원격 액세스 도구를 자동으로 다시 시작하는 숨겨진 작업
- 구성 파일: 무인 액세스를 위해 config.toml(RustDesk)을 수정합니다.
- 권한 상승: PowerRun 또는 TrustedInstaller를 사용하여 SYSTEM으로 원격 액세스 도구 실행
- 모니터링 : 새 레지스트리 키, 예약된 작업, 원격 액세스 도구 프로세스가 향상되었습니다.
4단계: 바이러스 백신 무력화 및 안티 포렌식
공격자는 원격 액세스 도구를 사용하여 바이러스 백신 서비스를 대화형으로 중지하고, 그룹 정책을 조작하고, 원격 액세스 도구 디렉터리를 제외 목록에 추가할 수 있습니다. 중요 로그는 삭제되고, 파일 파쇄 도구를 사용하여 법의학적 증거를 제거하여 사고 후 조사를 어렵게 만듭니다.
기법:
- 바이러스 백신 서비스를 중지하세요: sc 정지 또는 네트스톱
- 정책 조작: 원격 액세스 도구 디렉토리를 제외 항목에 추가합니다.
- 통나무 정리: 공격자는 종종 다음 명령줄을 안티 포렌식의 일부로 사용하여 이벤트 로그를 지웁니다.
wevtutil cl 보안
wevtutil cl 시스템
wevtutil cl 애플리케이션 - 파일 분쇄: 법의학적 유물 제거
5단계: 페이로드 배포 및 실행
공격자는 탐지를 피하고 포렌식 조사를 방해하기 위해 바이러스 백신 서비스를 중단하고, 보안 정책을 수정하고, 복구 메커니즘을 비활성화하고, 이벤트 로그를 삭제하고, 민감한 파일을 파기합니다. 또한 백업 솔루션을 변조하고, 섀도 복사본을 비활성화하고, rundll32나 PowerShell과 같은 LOLBins(Living-off-the-Land Binaries)를 사용하여 악의적인 행위와 정상적인 프로세스를 혼합할 수도 있습니다. 이러한 행위는 방어자에게 최소한의 가시성을 제공하고 랜섬웨어 실행을 위한 안전한 환경을 조성합니다.
메커니즘 :
- 랜섬웨어는 원격 액세스 도구 채널을 통해 전달되며, 종종 신뢰할 수 있는 업데이트나 관리 작업으로 위장하여 기존 원격 세션 내에서 실행되어 사용자의 의심과 보안 모니터링을 우회합니다.
6단계: 측면 확장
자격 증명 재사용, 원격 액세스 도구 전파 또는 엔터프라이즈 원격 액세스 도구 배포 활용을 통해 측면 이동이 용이해집니다.
메커니즘 :
- 엔드포인트 간 자격 증명 재사용
- 대량 배포를 위한 Enterprise Remote Access Tool 활용
지표 :
- 여러 엔드포인트에서 새로운 원격 액세스 도구 연결을 보고함
- 여러 머신에 걸쳐 승인되지 않은 예약된 작업 또는 레지스트리 수정
7단계: 영향 – 암호화 및 잠금
랜섬웨어 페이로드 실행은 데이터 암호화, 계정 잠금, 그리고 원격 액세스 도구(RAT) 자격 증명 변경을 유발하여 관리적 조치를 차단합니다. LockBit, Black, Basta 변종과 같은 캠페인은 실제 공격의 이러한 마지막 단계를 보여줍니다.
결과:
- 대상 시스템의 파일 암호화
- 수정을 방지하기 위해 계정을 잠그거나 원격 액세스 도구 자격 증명을 변경합니다.
실제 캠페인 사례
아래는 랜섬웨어 캠페인에서 적대자가 지속성, 배포 및 측면 이동을 위해 활용하는 일반적으로 남용되는 원격 액세스 도구입니다.
| 원격수행 오시는 길 수단 | 연관된 랜섬웨어 캠페인 |
| AnyDesk | TargetCompany, D3adCrypt, Makop, Mallox, Phobos, LockBit 2.0, LockBit 3.0, LockBit 2025 Renegade, Beast, Dharma, Proton / Shinra, MedusaLocker |
| 울트라뷰어 | 비스트, 케르베르, 다르마(.cezar 패밀리), 글로브임포스터 2.0, 록비트 3.0, 마콥, 포보스, 스파이더프레이, 타겟컴퍼니 |
| 앱애니웨어 | 마콥, 류크, D3adCrypt, 달마 |
| 러스트 데스크 | 미믹, 록XXX, 다이어몬드, D3adCrypt, 마코프 |
| 스플래시 탑 (Splashtop) | 마코프, 블루스카이, 랜섬허브, 프록시마 |
| TightVNC를 | 세르베르 4.0 / 5.0 |
위협 행위자 TTP 매핑(MITRE ATT&CK)
원격 접근 도구(RAT) 기반 랜섬웨어 공격에 대응하려면 공격자가 사용하는 전술, 기법, 절차(TTP)를 이해하는 것이 중요합니다. 이러한 활동을 MITRE ATT&CK 프레임워크에 매핑함으로써 보안 팀은 공격자가 어떻게 접근 권한을 획득하고, 도구를 배포하고, 지속성을 유지하고, 권한을 상승시키고, 궁극적으로 강력한 페이로드를 전송하는지 시각화할 수 있습니다. 아래 표는 공격의 주요 단계, 활용되는 기법, 그리고 각 단계에 맞춰 일반적으로 악용되는 원격 접근 도구를 보여줍니다.
| 인턴십 | 기술 | MITRE ATT&CK 하위 기술 ID | 관측 |
| 초기 액세스 | 브 루트 포스 | T1110.001 | 초기 액세스를 얻기 위해 RDP/SMB 엔드포인트 타겟팅 |
| 도구 배포 | 인그레스 도구 전송 | T1105 | 원격 액세스 유틸리티가 실행을 위해 전송되었습니다. |
| 실행 | 원격 서비스 | T1021.001 | 페이로드를 실행하는 데 사용되는 원격 세션 |
| 고집 | 레지스트리 실행 키 | T1547.001 | 도구 지속성을 위해 생성/수정된 레지스트리 키 |
| 권한 에스컬레이션 | 학대 고도 제어 메커니즘 | T1548.002 | SYSTEM 권한으로 도구를 실행하기 위해 관찰된 권한 상승 |
| 방어 회피 | 방어력 약화 | T1562.001 | 보안 서비스 비활성화, 로그 삭제 |
| 측면 운동 | 원격 서비스 | T1021.001 | 엔드포인트 간 이동을 위해 원격 서비스가 남용됨 |
| 영향 | 영향력을 위해 암호화된 데이터 | T1486 | 랜섬웨어를 배포하고 데이터를 암호화하는 데 활용되는 도구 |
새로운 트렌드와 미래 위협
랜섬웨어 공격자들이 진화함에 따라, 기존의 온프레미스 공격 방식을 넘어 새로운 전술들이 등장하고 있습니다. 이러한 추세는 공격자들이 자동화, 클라우드 악용, 그리고 RaaS 생태계를 결합하여 공격의 규모와 은밀성을 극대화하는 방식을 보여줍니다.
- AI-기반 원격 액세스 도구 배포: 페이로드에 대한 자동화된 의사 결정
- 클라우드 원격 액세스 도구 남용: 클라우드 기반 원격 액세스 포털 활용
- RaaS 통합: 기업 캠페인을 위한 랜섬웨어 서비스 제품에 내장된 원격 액세스 도구
- 다단계 공격: 초기 원격 액세스 도구 손상 후 2차 페이로드(데이터 유출, 크립토재킹, 측면 랜섬웨어) 발생
얼마나 빨리 낫는가 / Seqrite 이러한 활동으로부터 보호하세요.
랜섬웨어 공격자는 신뢰할 수 있는 도구를 악용하려 할 수 있지만, Quick Heal과 Seqrite 이러한 솔루션은 공격을 차단하기 위해 여러 겹의 방어 체계를 갖추고 있습니다. 실시간 모니터링, 자체 보호 기능, 그리고 고급 행동 탐지 기능을 결합하여 공격자가 보안을 쉽게 무력화하거나 눈에 띄지 않게 침투하는 것을 방지합니다.
- 바이러스 보호: 트로이 목마에 감염된 설치 프로그램이나 숨겨진 페이로드가 실행되기 전에 적극적으로 탐지하고 무력화합니다.
- 바이러스 백신 자체 보호: 공격자가 보안 서비스를 강제로 종료하거나 제거하는 것을 방지합니다.
- 행동 기반 감지: 대량 파일 변경이나 의심스러운 프로세스 실행 등 랜섬웨어와 관련된 비정상적인 활동을 모니터링합니다.
- 랜섬웨어 보호: 실시간으로 승인되지 않은 암호화 시도를 차단하여 데이터가 잠기기 전에 공격을 차단합니다.
- 애플리케이션 제어: 승인되지 않은 원격 도구의 사용을 제한하여 신뢰할 수 있는 애플리케이션만 실행되도록 보장합니다.
보안 모범 사례 및 권장 사항
랜섬웨어 방어는 단순히 적절한 도구를 갖추는 것만이 아닙니다. 도구를 현명하게 사용하고 튼튼한 일상 습관을 기르는 것도 중요합니다. 모든 조직이 공격자보다 앞서 나가기 위해 취할 수 있는 몇 가지 실용적인 조치는 다음과 같습니다.
- 원격 액세스 도구 사용 제한: 정말 필요한 원격 도구만 보관하고 나머지는 제거하세요. 진입점이 적을수록 시스템 안전도가 높아집니다.
- 다중 요소 인증(MFA) 적용: 공격자가 비밀번호를 훔치더라도 MFA를 사용하면 로그인하기가 훨씬 어려워집니다.
- 관리 권한 제한: 절대적으로 필요한 경우가 아니면 관리자 권한을 부여하지 마세요. 권한이 적을수록 계정이 손상될 경우 피해도 줄어듭니다.
- 지속적으로 감사 및 모니터링 로그: 로그를 주의 깊게 살펴보세요. 비정상적인 로그인, 자동 설치 또는 이상한 설치 명령은 조기 경고 신호일 수 있습니다.
- 정기 업데이트 및 패치: 공격자가 오래된 결함을 악용하지 못하도록 운영 체제와 보안 도구에 대한 업데이트를 최신 상태로 유지하세요.
- 사용자 인식 교육: 사람이 최전선 방어선입니다. 피싱 이메일이나 의심스러운 원격 지원 활동을 감지하도록 직원을 교육하면 공격이 시작되기 전에 차단할 수 있습니다.
결론 :
합법적인 IT 도구는 잘못 관리될 경우 쉽게 숨겨진 공격 경로가 될 수 있으며, 원격 액세스 도구(RAT) 남용은 이제 차세대 랜섬웨어의 주요 원인입니다. 이러한 위험에 대응하기 위해 기업은 거버넌스, 모니터링, 그리고 신속한 대응을 결합한 다층적인 접근 방식을 취해야 합니다.
빠른 치유 및 Seqrite 이러한 방어 전략에서 핵심적인 역할을 하는 것은 강력한 바이러스 방지, 행동 기반 탐지 및 랜섬웨어 방지 기능입니다. 엄격한 관리 체계 및 사고 대응과 결합하면 조직은 공격자보다 한 발 앞서 나갈 수 있습니다.
주요 조치는 다음과 같습니다.
- 원격 액세스 도구 거버넌스 및 허용 목록
- 퀵힐(Quick Heal) 기반의 다중 계층 바이러스 보호 기능 / Seqrite
- 행동 감지 및 아웃바운드 필터링
- 격리 및 복구를 위한 신속한 사고 대응
이러한 다층적 방어 전략을 채택함으로써 조직은 원격 액세스 도구 기반 랜섬웨어 캠페인을 사전에 탐지, 격리 및 완화할 수 있으며, 신뢰할 수 있는 도구를 잠재적 위협이 아닌 통제 가능하고 관리 가능한 자산으로 전환할 수 있습니다.
저자: 마틴 타드비
공저자: 우마르 칸
